每周安全速递³¹³｜Trinity勒索软件团伙瞄准医疗机构威胁患者数据安全

第313期

本周热点事件威胁情报

Trinity勒索软件团伙瞄准医疗机构威胁患者数据安全

新兴勒索软件团伙Trinity近期针对美国医疗保健行业发起攻击，采用双重勒索手段，窃取敏感数据后加密文件，要求受害者支付赎金以避免数据泄露。美国卫生与公共服务部（HHS）发布警告，指出至少有一家美国医疗机构成为该团伙的受害者。Trinity还在其泄露网站上列出了一些全球受害机构，威胁泄露大量患者数据。该团伙利用未修补的漏洞、钓鱼邮件和弱口令远程桌面协议（RDP）等方式入侵目标网络。由于没有已知的解密工具，HHS建议医疗机构采取网络分段、离线备份等措施，防止和应对勒索软件攻击。

参考链接：

https://www.hhs.gov/sites/default/files/trinity-ransomware-threat-actor-profile.pdf

Linux恶意软件“perfctl”背后隐藏多年加密货币挖矿活动

研究人员发现，名为“perfctl”的Linux恶意软件至少在过去三年间一直在感染Linux服务器和工作站，未被广泛察觉。该恶意软件利用漏洞和错误配置入侵系统，主要目的是通过服务器的CPU资源进行门罗币（Monero）挖矿。perfctl使用rootkit技术躲避检测，利用TOR加密通信隐藏其活动。感染后，恶意软件不仅会隐藏其进程，还会在用户登录时停止挖矿，使其难以被察觉。据估计，数千台服务器已经受到感染。

参考链接：

https://www.aquasec.com/blog/perfctl-a-stealthy-malware-targeting-millions-of-linux-servers/

LockBit勒索软件与Evil Corp成员在全球联合行动中被逮捕和制裁

在全球执法机构的联合打击下，四名与LockBit勒索软件（Bitwise Spider）有关的嫌疑人被逮捕，九台服务器被关闭。这次行动逮捕了包括一名法国的LockBit开发者和西班牙的一个弹性托管服务管理员。与此同时，俄罗斯国民亚历山大·里任科夫被确认是Evil Corp高层成员，并与LockBit有关联。该行动是“Cronos行动”一部分，旨在打击这些恶意网络团伙的犯罪活动。美、英等国对多个相关个人和实体实施了制裁，加强了对这些犯罪组织的国际围剿。

参考链接：

https://www.europol.europa.eu/media-press/newsroom/news/lockbit-power-cut-four-new-arrests-and-financial-sanctions-against-affiliates

MedusaLocker勒索软件新变种每月感染超百家企业

据研究人员最新研究显示，一个名为“PaidMemes”的犯罪分子使用MedusaLocker勒索软件的新变种“BabyLockerKZ”，自2022年以来每月感染超过100家企业。此攻击者通过公开可用的工具，如Mimikatz，利用网络扫描器和恶意软件绕过防御系统并窃取Windows凭证。受害者分布广泛，涵盖欧洲、南美、美国、亚洲等多个地区，主要为中小型企业。PaidMemes并非针对特定目标，而是采取机会主义攻击，每次勒索金额在3万至5万美元之间。研究人员指出，该攻击活动与常见系统管理员的工具和手段类似，但带有明显的恶意倾向。

参考链接：

https://blog.talosintelligence.com/threat-actor-believed-to-be-spreading-new-medusalocker-variant-since-2022/